信息系统安全漏洞概述

1、信息系统安全漏洞概述知识域：安全漏洞知识子域：安全漏洞的产生与发展了解安全漏洞的含义了解安全漏洞产生的原因了解国内外常见安全漏洞分类了解安全漏洞的发展趋势知识子域：安全漏洞的发现与修复了解安全漏洞的静态与动态挖掘方法的基本原理了解补丁分类及修复时应注意的问题2漏洞的概念漏洞概念的提出漏洞（Vulnerability）又叫脆弱性，这一概念早在1947年冯诺依曼建立计算机系统结构理论时就有涉及，他认为计算机的发展和自然生命有相似性，一个计算机系统也有天生的类似基因的缺陷，也可能在使用和发展过程中产生意想不到的问题。学者们对漏洞的定义从访问控制角度定义（学者 Denning 做出的定义）从风险管理角

2、度的定义（学者Longstaff的定义）使用状态空间描述的方法给出的定义（ 学者Bishop的定义）3标准机构的定义1999年，ISO/IEC15408（GB/T18336）定义：漏洞是存在于评估对象（TOE）中的，在一定的环境条件下可能违反安全功能要求的弱点；2006年，美国NIST信息安全关键术语词汇表定义：漏洞是指存在于信息系统、系统安全过程、内部控制或实现中的，可被威胁源攻击或触发的弱点；2006年，ISO/IEC SC 27SD6：IT安全术语词汇表定义：漏洞是一个或多个威胁可以利用的一个或一组资产的弱点；是违反某些环境中安全功能要求的TOE中的弱点；是在信息系统（包括其安全控制）或

3、其环境的设计及实施中的缺陷、弱点或特性。 4漏洞的理解信息安全漏洞是信息技术、信息产品、信息系统在需求、设计、实现、配置、维护和使用等过程中，有意或无意产生的缺陷，这些缺陷一旦被恶意主体所利用，就会造成对信息产品或系统的安全损害，从而影响构建于信息产品或系统之上正常服务的运行，危害信息产品或系统及信息的安全属性。错误、缺陷、弱点和故障并不等于漏洞。5漏洞产生的原因技术原因软件系统复杂性提高，质量难于控制，安全性降低公用模块的使用引发了安全问题经济原因“柠檬市场”效应环境原因从传统的封闭、静态和可控变为开放、动态和难控攻易守难安全缺陷安全性缺陷是信息系统或产品自身“与生俱来”的特征，是其的固有成

4、分6漏洞的分类分类的目的从各个方面来描述漏洞，如从漏洞的成因、利用漏洞的技术、漏洞的作用范围等；用一个分类属性来表达漏洞的一个本质特征，而为漏洞的每个属性赋值的过程，就是给漏洞在该维属性上分类的过程；分类原则：可接受性、易于理解性、完备性、确定性、互斥性、可重复性、可用性；7NVD漏洞分类代码注入（Code Injection）缓冲错误（Buffer Errors）跨站脚本（Cross-Site Scripting（XSS）权限许可和访问控制（Permissions，Privileges，and Access Control）配置（Configuration）路径遍历（Path Travers

5、al）数字错误（Numeric Error）SQL注入（SQL Injection）输入验证（Input validation）授权问题（Authentication Issues跨站请求伪造（Cross-Site Request Forgery（CSRF）资源管理错误（Resource Management Errors）信任管理（Credentials Management）加密问题（Cryptographic Issues）信息泄露（Information Leak/Disclosure）竞争条件（Race Condition）后置链接（Link Following）格式化字符串（For

6、mat String Vulnerability）操作系统OS命令注入（OS Command Injections）设计错误（Design Error）资料不足（Insufficient Information）。中国的漏洞发布公布 cnnvdCve是世界著名的漏洞发布公布 平台 。乌云 是中国最近较火的涔涔发布公布平台 。8漏洞的危害漏洞是信息安全的核心漏洞无处不在攻击者对漏洞的利用研究不断进步漏洞的利用速度也越来越快9为什么需要研究安全漏洞漏洞客观存在现实紧迫性漏洞是一种战略资源数量、种类、分布对网络安全影响非常重要地下经济的源点 10知识域：安全漏洞知识子域：安全漏洞的发现与修复了解安全

7、漏洞的静态与动态挖掘方法的基本原理了解补丁分类及修复时应注意的问题11漏洞的发现从人工发现阶段发展到了依靠自动分析工具辅助的半自动化阶段漏洞发现方法静态漏洞检测动态漏洞检测12静态漏洞检测不运行代码而直接对代码进行漏洞挖掘的方法适用对象完整的或不完整的源代码二进制代码中间代码片段方法原理流分析符号执行模型检测13流分析控制流分析代码中控制流走向的信息，获得控制流图(CFG)，即代码的控制结构信息。控制流图是对代码执行时可能经过的所有路径的图形化表示，通过对代码中的分支、循环等关系的分析来获得代码的结构关系。数据流数据流分析是要得出程序中数据流动的信息，也就是程序中变量的相关信息，比如，可到达的

8、变量定义，可用的表达式，别名信息，变量的使用及取值情况等14符号执行符号执行的目标是把程序转化成一组约束，同时检查程序模拟执行过程中的状态是否出错。这组约束中既包含程序中的路径条件，也包含要求程序满足的正确性条件或者程序员给出的断言。符号执行的方法也是在程序的CFG上使用WorkList算法进行遍历。15模型检测模型检测是给定被测系统的模型和目标属性的描述之后，可自动地对被测系统的状态空间进行穷尽搜索，以检测目标属性是否被满足。度量指标：可靠性被检测为真的任何属性，都确实为真，即无误报；完备性所有确实为真的属性，必然可被检测出为真，即无漏报。16动态漏洞检测在代码运行的状态下，通过监测代码的运

9、行状态或根据测试用例结果来挖掘漏洞的方法特点与静态分析方法相比，动态分析方法的最大优势在于其分析结果的精确，即误报率较低方法模糊测试渗透测试软件监测17模糊测试在程序外部提供非预期输入，并监控程序对输入的反应，从而发现程序内部故障，广泛应用于软件安全测试发展阶段：第一代主要用于健壮性和可靠性测试。第二代主要用于发现系统的漏洞。第三代智能模糊测试侧重于更合理的测试数据集的构造。18动态污染传播在程序运行时，标记某些信息，例如变量、存储单位、寄存器的值等，从而跟踪攻击路径，获取漏洞信息步骤标识污点源，如不可信文件、不可信网络、各种输入分析污染源的传播根据触发机制，对具有污染标识的数据、内存等进行检

10、查，从而发现可能的安全问题19渗透测试渗透测试的概念渗透测试是通过模拟攻击方法，来评估对象（系统或产品）安全的一种方法。渗透测试的优势测试是基于软件运行的最后环境，因此，除了可以发现软件本身的安全问题外，更重要的是还可以发现一些关于环境和配置的安全问题。20渗透测试的方法及步骤授权与鉴别安全分析非法操作分析管理架构安全分析规则有效性分析性能隐患分析核心安全功能强度分析隐通道分析21安全漏洞的修复安装补丁是漏洞消减的技术手段之一。数据显示，及时安装有效补丁可避免约95%的信息安全损失补丁修复中存在的两难问题：打什么样的补丁？补丁质量问题如何打补丁？操作方式问题什么时间打补丁？修复时机问题22补丁分类从文件类型以源代码形式存在以二进制形式存在从内存角度文件补丁（冷补丁）内存补丁（热补丁）23补丁安装时应注意的问题补丁安装部署之前需要经过必要的测试需要从可靠来源不断获取最新补丁信息安装补